Cisco Webex Meetings Suite sites和Online sites输入验证错误漏洞

CVE编号

CVE-2020-3142

利用情况

暂无

补丁情况

N/A

披露时间

2020-01-26

漏洞描述

Cisco Webex Meetings Suite是美国思科（Cisco）公司的一套多功能视频会议解决方案。 Cisco Webex Meetings Suite站点和Cisco WebEx Meetings Online站点中的漏洞可能允许未经身份验证的远程参加者加入受密码保护的会议，而无需提供会议密码。必须从iOS或Android的Webex移动应用程序启动连接尝试。该漏洞是由于针对移动应用程序的特定会议加入流程中意外的会议信息泄露所致。未经授权的与会者可以通过从移动设备的网络浏览器访问已知的会议ID或会议URL来利用此漏洞。然后，浏览器将请求启动设备的Webex移动应用程序。成功利用此漏洞可能允许未经授权的与会者加入受密码保护的会议。未经授权的与会者将作为移动与会者显示在会议的与会者列表中。思科已经应用了解决此漏洞的更新，并且无需用户采取任何措施。此漏洞影响39.11.5和40.1.3之前的Cisco Webex Meetings Suite网站和Cisco Webex Meetings Online网站版本。

解决建议

目前厂商已发布升级补丁以修复漏洞，详情请关注厂商主页：
https://tools.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-20200124-webex-unauthjoin

参考链接
https://tools.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-s...

受影响软件情况

#	类型	厂商	产品	版本	影响面
1
	运行在以下环境
	应用	cisco	webex_meetings_online	*		Up to (excluding) 39.11.5
	运行在以下环境
	应用	cisco	webex_meetings_online	*		Up to (excluding) 40.1.3

CVSS3评分 7.5

• 攻击路径 网络
• 攻击复杂度 低
• 权限要求 无
• 影响范围 未更改
• 用户交互 无
• 可用性 无
• 保密性 高
• 完整性 无

CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N CWE-ID 漏洞类型 CWE-306 关键功能的认证机制缺失